병원 홈페이지 절반에 「안전하지 않음」이 뜹니다. 그런데 3분의 2는 보안을 안 켠 게 아니었습니다

지난주에 병의원 홈페이지 500곳을 열어 다섯 가지를 쟀고, 그중 하나가 보안 연결이었습니다. 그때는 되는 곳과 안 되는 곳의 수만 셌습니다. 이번에는 안 되는 곳을 하나씩 더 파고들었습니다.

결론부터 적겠습니다. 안 켠 게 아니라 켜 놓고 잘못 켠 곳이 훨씬 많았습니다. 그래서 원장님이 업체에 하실 말씀이 달라집니다.

먼저, 지난번 숫자를 고쳤습니다

지난 글에서 주소가 한글로 된 열세 곳을 저희 측정 도구가 다루지 못해 제외했다고 적었습니다. 그 도구를 고쳐서 이번에는 포함했습니다. 그래서 모집단이 487곳에서 500곳으로 늘었습니다.

	곳	비율
열림	339	67.8%
안 열림	161	32.2%

3곳 중 1곳이 열리지 않는다는 것은 그대로입니다.

열린 339곳의 보안 연결

	곳	비율
보안 연결 정상	173	51.0%
평문(http)	166	49.0%

거의 절반입니다. 평문이면 크롬 주소창에 「안전하지 않음」이 뜹니다.

여기까지는 지난 글과 같은 이야기입니다. 이번에 새로 한 것은 저 166곳이 왜 그렇게 됐는지를 가른 일입니다.

왜 안 되는지를 갈랐더니 예상과 달랐습니다

이유	곳	비율
인증서의 이름이 그 병원 도메인이 아님	58	34.9%
인증서를 직접 만들어 붙임(자체 서명)	48	28.9%
보안 연결 자체를 안 켬	30	18.1%
연결 거부	11	6.6%
그 밖의 인증서·연결 오류	19	11.5%

앞의 두 줄을 합치면 106곳, 나머지 인증서 오류까지 더하면 **112곳(67.5%)**입니다.

이 병원들은 보안 연결을 켜 뒀습니다. 서버는 443번 문을 열어 두고 응답합니다. 그런데 그 문 앞에 걸린 신분증이 그 병원 것이 아닙니다. 그래서 브라우저가 거절합니다.

보안을 안 켠 곳은 30곳, 전체 평문의 18.1%뿐이었습니다.

인증서를 전부 열어봤습니다

여기서 멈추면 추측이 되므로, 위 112곳의 인증서를 한 장씩 전부 받아서 확인했습니다. 인증서에는 그 인증서가 보장하는 도메인 이름이 적혀 있습니다. 접속한 주소가 거기 들어 있는지 대조했습니다.

	곳
인증서에 그 병원 도메인이 없음	105
도메인은 맞는데 다른 문제(만료 등)	6
확인 실패	1

그리고 남의 이름이 붙어 있던 105곳에 적힌 이름을 세어봤습니다.

인증서에 적힌 이름	곳
이름이 아예 없음(직접 만든 인증서)	43
*.gabia.io	10
*.cafe24.com	7
*.anybuild.com	6
*.gabia.com	5
*.dothome.co.kr	2
*.mailplug.com	2
그 밖(각 1~3곳)	30

호스팅 업체의 공용 인증서가 그대로 붙어 있는 것입니다.

호스팅 업체가 잘못한 것이 아닙니다. 서버를 빌려주면 업체 이름으로 된 기본 인증서가 붙어 있고, 거기에 병원 도메인을 연결한 다음 그 도메인 이름으로 인증서를 따로 발급받아 교체해야 합니다. 그 마지막 한 단계가 빠진 겁니다.

직접 만든 인증서 쪽은 더 분명했습니다. 실제로 나온 발급자 이름이 이렇습니다.

• 발급자 My Company Ltd, 유효기간이 2117년까지
• 발급자 localhost.localdomain, 유효기간이 2022년에 이미 끝남

둘 다 서버 프로그램을 설치하면 기본으로 만들어지는 견본입니다. 지우고 진짜 인증서를 넣어야 하는데 그대로 남아 있습니다. 뒤쪽은 만료된 지 4년이 지났습니다.

환자 정보를 받는 칸이 평문인 곳

열린 339곳 중 이름이나 연락처를 입력받는 칸이 있는 곳은 65곳이었습니다. 그중 16곳은 그 칸이 평문 페이지에 있었습니다.

상담 신청이나 예약 문의로 이름과 연락처를 적어 보내면, 그 내용이 암호화되지 않은 채로 나갑니다. 같은 와이파이를 쓰는 사람이 볼 수 있다는 뜻입니다.

병원이 다루는 것은 이름과 전화번호에서 끝나지 않습니다. 어디가 아파서 무엇을 문의했는지가 함께 갑니다.

그래서 무엇을 하면 되나

업체에 “https 해주세요”라고 하시면 절반은 이미 되어 있다는 답을 받으실 수 있습니다. 서버는 켜져 있으니 틀린 말이 아닙니다. 그런데 화면에는 여전히 경고가 뜹니다.

정확히는 이렇게 물어보셔야 합니다.

“우리 도메인 이름으로 발급된 인증서가 붙어 있습니까? 지금 브라우저에서 경고가 뜨는데 확인해 주십시오.”

인증서는 대부분의 호스팅 업체에서 발급받을 수 있고, 무료로 발급되는 것도 있습니다. 홈페이지를 새로 만드는 일이 아니라 설정 하나를 바꾸는 일입니다.

1분이면 확인됩니다

주소창에 병원 홈페이지 주소를 넣고 앞에 https://를 직접 붙여 보십시오.

• 자물쇠가 보이면 정상입니다.
• 「안전하지 않음」이나 빨간 경고 화면이 뜨면 이 글의 166곳에 해당합니다.
• 경고 화면에 「이 사이트의 보안 인증서를 신뢰할 수 없습니다」류의 문장이 있으면, 안 켠 게 아니라 인증서가 잘못 붙은 쪽입니다.

재는 방법과 한계

• 측정일 2026년 9월 7일. 심평원 명부에서 홈페이지 주소가 적힌 8,716곳 중 500곳을 무작위로 뽑았습니다. 같은 도메인을 여러 지점이 공유하는 경우는 한 번만 셌습니다.
• 명부에 적힌 주소 그대로 접속했습니다. www가 붙어 있으면 붙은 채로 열었습니다. 인증서가 www 없는 주소만 보장하는 경우도 이름 불일치로 잡힙니다. 다만 그 경우 환자가 명부 주소로 들어와도 똑같이 경고를 봅니다.
• 첫 화면만 봤습니다. 하위 페이지는 다를 수 있습니다.
• https://로 직접 들어가면 인증서 오류가 나지만, http://로 들어가면 보안 연결로 넘겨주어 결국 정상 화면이 뜨는 곳이 네 곳 있었습니다. 이 네 곳은 환자가 실제로 보는 화면이 정상이므로 위 166곳과 112곳에서 뺐습니다.
• 판정 기준은 브라우저와 같습니다. 공인된 발급기관이 발급했는가, 그리고 그 인증서가 접속한 도메인을 보장하는가입니다.
• 병원 상호는 적지 않았습니다. 특정 병원을 지목하려는 글이 아닙니다.
• 호스팅 업체 이름은 인증서에 적힌 그대로 옮긴 것입니다. 업체의 문제를 지적하려는 것이 아니라, 어느 단계가 빠졌는지를 보여주기 위해 적었습니다.

---

지난 글에서 저희 도구가 한글 도메인을 다루지 못한다고 밝혀 두었고, 이번에 고쳤습니다. 재는 도구가 틀리면 숫자도 틀립니다. 앞으로도 잘못 잰 것이 나오면 그때그때 고쳐서 다시 적겠습니다.